--- id: CP-021 slug: pretexting-escenario-autoridad-creible lang: es title: El pretexting, o el arte del falso pretexto description: "Un falso soporte informático que llama o escribe para obtener una contraseña: cómo funciona el falso pretexto y cómo desactivarlo." canonical_url: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ markdown_url: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «El pretexting, o el arte del falso pretexto», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-040 schema: G5 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ fr: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ en: https://startbrain.io/cyberpedia/en/articles/pretexting-credible-authority-scenario/ de: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ it: https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/001/ accessed: "2026-11-03" - "n": 5 title: Scattered Spider publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 8 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # El pretexting, o el arte del falso pretexto Un desconocido llama, escribe o envía un mensaje haciéndose pasar por alguien con derecho a hacer preguntas: el soporte informático, un proveedor, un banco, un nuevo compañero. No necesita piratear nada si su interlocutor le entrega por sí mismo una contraseña, un código o información interna. La CISA describe este esquema: el atacante puede presentarse como empleado nuevo, técnico de reparaciones o investigador, ofrecer pruebas de identidad falsas y después contrastar las respuestas obtenidas [1]. Esta técnica se apoya en un falso pretexto, de ahí su nombre en inglés, pretexting. MITRE la clasifica entre las técnicas de recopilación de información mediante suplantación (phishing): el objetivo es que la víctima revele datos, a menudo credenciales, en lugar de que ejecute un programa malicioso [2]. ## En 30 segundos - Dónde ocurre: por teléfono [3], por SMS [5], por mensaje de Teams [7] o por correo electrónico [2]. - Qué quiere el atacante: credenciales u otra información aprovechable [2], a veces un código de un solo uso [2]. - El reflejo: no dar nada a quien ha iniciado el contacto y verificar su identidad directamente con la organización en cuyo nombre dice hablar [1]. - Si ya lo ha hecho: avisar de inmediato a las personas competentes de la empresa y cambiar las contraseñas reveladas [1]. ## Preguntas directas ### ¿Qué es el pretexting? Es una forma de ingeniería social: el atacante usa el contacto humano para obtener o comprometer información sobre una organización o sus sistemas [1]. El pretexto (una avería que reparar, una cuenta que verificar, una transferencia que saldar) da una razón verosímil para pedir algo. ### ¿Por qué el mensaje parece tan creíble? Porque el atacante se ha informado antes. MITRE señala que estos acercamientos reutilizan información obtenida en un reconocimiento previo, por ejemplo en redes sociales o en los sitios web de la empresa objetivo, para fabricar señuelos verosímiles [4]. En el caso de Scattered Spider, la CISA cita información procedente de redes sociales, de fuentes abiertas, de herramientas comerciales de inteligencia y de filtraciones de bases de datos [5]. ### ¿Quién es el objetivo? Cualquiera, pero el soporte informático lo es de forma especial. Microsoft observa que el grupo Octo Tempest ataca a menudo a administradores técnicos, como el personal de soporte y de help desk, cuyos privilegios permiten abrir el acceso a cuentas [6]. ### ¿Qué pide el atacante? Las peticiones que aparecen en las fuentes son concretas: credenciales, un código de un solo uso, el restablecimiento de una contraseña, la transferencia de un segundo factor de autenticación a un dispositivo que controla el atacante, o la instalación de una herramienta de acceso remoto [3][5][7]. ### ¿Qué hacer si ya se ha respondido? La CISA aconseja comunicar el incidente a las personas competentes de la organización, entre ellas los administradores de red, que podrán vigilar cualquier actividad inusual, y cambiar sin demora las contraseñas reveladas, en cada cuenta donde se usara la misma contraseña [1]. ## En la piel del atacante El atacante empieza reuniendo nombres, cargos y procedimientos. Un perfil falso en una red social puede servir de puerta de entrada: MITRE describe cuentas ficticias que ofrecen empleo a los trabajadores, lo que da una razón verosímil para hacer preguntas sobre los departamentos, las normas y el entorno informático [4]. Las identidades de empleados también pueden proceder de filtraciones anteriores: MITRE informa de que Scattered Spider utilizó información de brechas de datos pasadas para encontrar nombres de empleados que usar en sus maniobras [7]. Viene después la puesta en escena. Un atacante que no obtiene suficiente información de una persona recurre a otra de la misma organización y se apoya en la primera respuesta para parecer legítimo [1]. Las llamadas de Scattered Spider se desarrollan con frecuencia en varias fases: las primeras sirven para aprender cómo trata el help desk un restablecimiento de contraseña, las siguientes para reunir los datos propios del empleado objetivo [5]. Por último, la presión. MITRE señala que el atacante se hace pasar por una fuente de confianza y envía varios mensajes de apariencia urgente [2], así como el sentimiento de urgencia o alarma que se crea en el destinatario en el caso del phishing por voz [3]. ## Lo que ve en la pantalla Las formas observadas en las fuentes son las siguientes. - Una llamada de un supuesto técnico que pide instalar una herramienta de mantenimiento remoto. MITRE cita llamadas de Scattered Spider en las que se hacían pasar por personal informático para empujar a las víctimas a descargar una herramienta así [3]. - Un mensaje en Microsoft Teams de un falso soporte interno, registrado por MITRE en el caso de Scattered Spider [7]. - Un correo cuyo remitente suplanta la identidad de un tercero, lo que puede engañar tanto al destinatario como a las herramientas de seguridad automáticas [2]. - Un mensaje que invita a devolver la llamada a un número de teléfono, en el que el atacante intenta recoger información confidencial [2]. La CISA enumera además señales de alerta clásicas: una dirección de remitente parecida a la de una empresa real, con algunos caracteres modificados o suprimidos, un saludo genérico, enlaces cuya dirección no coincide con el texto, faltas o una maquetación incoherente, un archivo adjunto no solicitado con una falsa urgencia [1]. Estas señales no siempre bastan: una petición bien redactada y bien documentada puede no presentar ninguna. Esta es una ilustración neutralizada, descrita a partir de los nombres de dominio que cita la CISA (el nombre de la empresa objetivo seguido de «helpdesk» o de un servicio de inicio de sesión único) [5]: ```text Ilustración, dirección neutralizada: nombre-de-la-empresa-helpdesk[.]invalid [Mensaje parafraseado: el «soporte» pide iniciar sesión en este sitio para verificar la cuenta.] ``` ## Bajo el capó Se combinan tres mecanismos. Primero, la recopilación de información (organigrama, nombres, procedimientos), que proporciona el decorado del pretexto [4][5]. Después, la suplantación de identidad: un empleado, un técnico o una persona recién contratada. Microsoft informa de que Octo Tempest imita por teléfono el idiolecto de las personas a las que suplanta, conoce sus datos personales y se ha hecho pasar por empleados nuevos para integrarse en los procedimientos de incorporación [6]. Por último, la autoridad y la urgencia, que empujan a responder deprisa. El teléfono facilita el engaño. La CISA subraya que la telefonía por internet permite falsificar con facilidad el identificador de quien llama, lo que se beneficia de la confianza mal depositada del público en la seguridad del teléfono [1]. Cuando el atacante se hace pasar por un empleado ante el soporte, el objetivo es que se restablezca una contraseña o que se transfiera la autenticación multifactor a un dispositivo que él controla [5]. Microsoft describe incluso casos en los que elude el procedimiento usando la cuenta ya comprometida de un responsable para aprobar sus solicitudes [6]. Las confirmaciones internas solo valen, por tanto, si el propio canal es seguro. ## Autopsias ### Principios de 2022: Octo Tempest y los cambios de tarjeta SIM Según Microsoft, el grupo Octo Tempest fue observado por primera vez a principios de 2022. Atacaba a operadores de telefonía móvil y a empresas de externalización de procesos para provocar portabilidades de números, los cambios de tarjeta SIM. En 2022 sacó provecho de estas intrusiones vendiendo cambios de SIM a otros delincuentes y tomando el control de cuentas de personas muy adineradas para robarles sus criptomonedas [6]. ### 25 de octubre de 2023: Microsoft describe los métodos de Octo Tempest En su entrada del 25 de octubre de 2023, Microsoft explica que este grupo llama al help desk de una organización para conseguir el restablecimiento de la contraseña de un usuario o la incorporación de un factor de autenticación [6]. También puede, una vez que controla el número de teléfono de un empleado, iniciar un restablecimiento de la cuenta en autoservicio [6]. ### 16 de noviembre de 2023 y 29 de julio de 2025: el aviso conjunto sobre Scattered Spider El aviso conjunto de la CISA, el FBI y agencias socias se publicó el 16 de noviembre de 2023 y se actualizó el 21 de noviembre de 2023 y el 29 de julio de 2025 [5]. Describe un grupo que ataca a grandes empresas y a sus servicios de asistencia informática subcontratados [5]. Sus miembros se hicieron pasar por personal informático o de soporte, por llamada o SMS, para obtener credenciales, y por empleados para convencer al soporte de que restableciera una contraseña y transfiriera el segundo factor [5]. El aviso recomienda una autenticación multifactor resistente al phishing, protegida contra el bombardeo de notificaciones y el cambio de SIM [5]. ## Lo que usted hace El reflejo se resume así: no se responde a quien ha iniciado el contacto, se verifica por otro canal. - Desconfíe ante una llamada, una visita o un mensaje no solicitados que hagan preguntas sobre los empleados o la organización interna. Si el desconocido dice representar a una organización legítima, verifique su identidad directamente con ella [1]. - No dé información sobre usted ni sobre la empresa, incluidas su estructura y sus redes, sin tener la certeza de que la persona tiene derecho a conocerla [1]. - Si duda de una petición recibida por correo, póngase en contacto directamente con la entidad, sin usar los datos de contacto que figuran en el mensaje ni en el sitio vinculado a la petición: búsquelos en intercambios anteriores [1]. - Comunique el intento, aunque no haya entregado nada. El NCSC británico recomienda una cultura en la que se informe sin temor a reproches, porque los empleados que temen sanciones no comunican sus errores [8]. Por parte de la organización, MITRE recuerda que se puede formar a los usuarios para detectar y comunicar estas técnicas, y para desconfiar de quienes llaman verificando su identidad [3]. ## Fuentes 1. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/001/ (consultado el 3 de noviembre de 2026) 5. CISA, «Scattered Spider», 16 de noviembre de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado el 3 de noviembre de 2026) 6. Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction», 25 de octubre de 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultado el 3 de noviembre de 2026) 8. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.